Vérifier l'identité d'un appelant : les questions qui comptent

Pour vérifier l'identité d'un appelant, aucune question posée pendant l'appel ne prouve à elle seule qui il est. La seule vérification solide consiste à sortir de l'appel et à joindre la personne par un canal que vous contrôlez. Les questions servent à gagner du temps, à noter des éléments et à repérer un script, pas à valider une identité.

Voici les questions qui valent la peine d'être posées, celles qui ne prouvent rien, et les phrases exactes pour les formuler. Cet article s'inscrit dans notre dossier sur la sensibilisation cybersécurité et le vishing.

Pourquoi une question de sécurité ne suffit pas

Les procédures classiques demandent une date de naissance, une adresse ou un numéro de client. Parfois le dernier mouvement sur un compte. Ces informations ont un défaut : elles ne sont pas secrètes. Elles circulent dans des fuites de données, des réseaux sociaux, des annuaires professionnels ou des documents déjà dérobés.

Un fraudeur qui appelle en connaît souvent plus que ce que vous imaginez. Il a préparé son appel. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, la fraude au faux conseiller bancaire a progressé de 159 %. Cela montre que ces appels sont nombreux et rodés.

Il y a une seconde difficulté, d'ordre psychologique. Quand l'appelant répond juste à trois questions, la confiance s'installe. Elle s'installe aussi quand il hésite puis s'excuse poliment. On vérifie alors moins ce qu'il demande ensuite.

Les questions qui ne prouvent rien

Ces questions peuvent rester dans une procédure, mais il faut savoir qu'elles ne garantissent rien.

• Date de naissance, adresse, employeur. Informations publiques ou fuitées.
• Nom du conseiller, du manager ou de l'agence. Visible sur un site, un profil professionnel ou une signature d'e-mail.
• Dernière opération, dernier achat. Disponible après un vol de données ou une première prise de contact.
• Numéro affiché sur l'écran. Il peut être usurpé. Le même rapport 2025 de Cybermalveillance.gouv.fr relève une hausse de 517 % de l'usurpation de numéro de téléphone.
• Un code reçu par SMS que l'on vous demande de lire. C'est l'inverse d'une vérification : vous donnez à l'appelant de quoi valider un paiement.

Une bonne réponse de l'appelant à ces questions est simplement le signe qu'il a de la documentation. Il faut donc ne pas conclure « c'est bon » après une série de bonnes réponses.

Les questions qui servent vraiment

Trois types de questions sont utiles, même s'ils ne valident rien seuls. Ils font sortir l'appelant de son script et laissent une trace.

Les questions de cadrage

Elles servent à noter et à ralentir.

« Pouvez-vous me redonner votre nom, votre service et un numéro de rappel ? Je les note. »

« Quel est exactement l'objet de votre appel ? »

Les questions qui cassent le script

Un attaquant prépare un chemin. Une question simple hors du chemin le met en difficulté.

« Pourquoi appelez-vous plutôt que d'écrire par la messagerie habituelle ? »

« Avec qui avez-vous déjà échangé sur ce dossier dans l'entreprise ? »

Un vrai interlocuteur répond sans difficulté et comprend que vous vérifiiez. Un faux interlocuteur élude, s'agace ou répète sa demande, souvent avec les mêmes mots.

Les questions sur la procédure

« Quelle est la procédure officielle pour cette demande ? »

« Pouvez-vous m'envoyer la demande par la messagerie interne, que je la valide avec mon responsable ? »

Si l'appelant refuse la voie écrite ou officielle, c'est un signal. Un service légitime accepte de laisser une trace.

La vérification qui prouve : sortir de l'appel

La seule façon fiable de confirmer une identité est de ne plus dépendre de l'appelant. Vous raccrochez et vous joignez la personne ou le service par un numéro, une messagerie ou une application que vous avez déjà.

« Je ne peux pas traiter cette demande par téléphone. Je vous rappelle par le numéro officiel. »

Ce geste est détaillé dans notre article sur la procédure de rappel par un canal indépendant. Il est aussi la parade au clonage de voix, traité dans l'article sur le clonage de voix IA.

Pour les circuits à fort enjeu, un second dispositif existe : le mot convenu. Il se décide à l'avance entre deux personnes, il est secret et renouvelé. Il ne se demande jamais en réponse à l'appelant sans qu'il ait été défini avant.

Comment poser ces questions sans vexer

La crainte de paraître méfiant empêche beaucoup de salariés de vérifier. Le remède est une formulation qui présente la vérification comme une règle générale, pas comme un soupçon.

• « C'est la procédure pour tout le monde, y compris pour la direction. »
• « Je vous remercie de comprendre, nous avons une règle de rappel systématique. »
• « Si c'est bien vous, cela ne prendra que deux minutes. »

Cette dernière phrase est particulièrement efficace. Elle ne met pas en doute la personne, elle constate que la vérification est peu coûteuse pour un interlocuteur honnête.

Adapter la vérification selon l'appelant annoncé

La conduite varie un peu selon le rôle que l'appelant se donne. Le principe reste identique : ne pas s'en remettre à ce qu'il dit.

Un faux conseiller ou un faux service de sécurité bancaire

Aucune banque n'a besoin que vous validiez une opération pendant qu'elle vous parle. Cette demande doit à elle seule mettre fin à l'appel. Vous contactez votre banque par le numéro de votre carte ou par votre application.

Un faux fournisseur ou un faux dirigeant

Un changement de coordonnées bancaires ou un virement urgent se confirme auprès d'un contact connu, sur un numéro déjà enregistré. Notre article sur la fraude au président décrit la double validation qui complète cette vérification.

Un faux support informatique

Un appel qui demande un mot de passe, un code d'authentification ou l'installation d'un logiciel ne se traite pas par téléphone. Le vrai support ne réclame jamais ces éléments à voix haute. Il passe par un ticket ou un outil interne.

Un faux collègue

Un collègue réel accepte que vous le rappeliez sur sa ligne ou que vous lui écriviez sur la messagerie interne. Un refus de sa part est inhabituel et mérite un signalement.

Une grille de vérification réutilisable

Voici une grille simple à garder à portée de main, à imprimer ou à intégrer à la procédure interne.

1. Je note : nom, service, numéro donné, heure, objet de l'appel.
2. Je repère : urgence, autorité, secret, demande de code, refus de rappel.
3. Je ne donne rien : ni code, ni mot de passe, ni validation d'opération.
4. Je sors de l'appel : je raccroche et je rappelle par un canal connu.
5. Je signale : au service sécurité, même sans dommage.

Les leviers à repérer à l'étape 2 sont décrits dans notre article sur les leviers de l'ingénierie sociale. Pour l'étape 5, la grille de notre article sur le signalement d'un incident de sécurité indique quoi retenir.

Les erreurs fréquentes

• Poser des questions que l'appelant a préparées. Une question sur des données publiques n'apporte rien.
• Accepter un numéro de rappel donné par l'appelant. Il mène à lui, pas au service annoncé.
• Vérifier puis céder. Même après une vérification partielle, une demande de code ou de virement reste à refuser.
• S'excuser de vérifier. Un ton d'excuse invite à négocier.
• Improviser. Sans phrase prête, on cède à la politesse.

Pourquoi la pratique orale change le résultat

Connaître ces questions est facile. Les poser, d'une voix posée, à un interlocuteur qui insiste, l'est beaucoup moins. Le trac, le désir d'être aimable et la crainte de se tromper prennent la place du raisonnement.

La pratique d'un jeu de rôle replace l'apprenant dans cette situation. Avec Face Up, le formateur crée un scénario. Un persona joué par une IA se présente comme un fournisseur ou un conseiller et réagit aux questions de l'apprenant. À l'issue de la session, le débriefing indique si les vérifications ont été posées, si un code a été donné, et cite les phrases prononcées. L'apprenant peut rejouer jusqu'à ce que la bonne formule devienne automatique.

Questions fréquentes

Quelle est la meilleure question pour vérifier un appelant ?

Il n'y en a pas une seule. La plus utile est celle qui ouvre la sortie : « Je vous rappelle par le numéro officiel. » Elle ne dépend d'aucune information que le fraudeur pourrait connaître.

Peut-on se fier au numéro qui s'affiche ?

Non. L'usurpation de numéro permet d'afficher le numéro d'une vraie banque ou d'un vrai service. Le rapport 2025 de Cybermalveillance.gouv.fr signale une forte hausse de cette technique.

Que faire si l'appelant connaît mes informations personnelles ?

Cela ne prouve pas son identité. Les données personnelles circulent à la suite de fuites ou de recherches en ligne. Appliquez la même procédure : raccrocher, rappeler, signaler.

Pour entraîner vos équipes à poser ces questions à voix haute, découvrez les jeux de rôle Face Up ou réservez une démonstration.